Fałszywe maile od kurierów i marketplace'ów - jak sprawdzić nadawcę wiadomości

Nagłówki wiadomości - jak sprawdzić SPF, DKIM i DMARC

Jeśli szybkie kroki nie rozwiały wątpliwości, sprawdź nagłówki wiadomości. To techniczna część maila, w której serwery zapisują, skąd wiadomość przyszła i czy przeszła weryfikację. Trzy mechanizmy mają tu kluczowe znaczenie:

• SPF - określa, które serwery mogą wysyłać pocztę w imieniu domeny. Wynik pass oznacza, że wiadomość wysłał serwer uprawniony przez właściciela domeny.

• DKIM - cyfrowy podpis wiadomości. Wynik pass oznacza, że treść nie została zmieniona po drodze i podpisała ją wskazana domena.

• DMARC - zasada właściciela domeny, która sprawdza, czy domena z pola „Od” zgadza się z domeną zweryfikowaną przez SPF lub DKIM, i mówi serwerom, co robić z wiadomościami, które nie przechodzą.

W Gmailu otwórz wiadomość, kliknij menu z trzema kropkami i wybierz „Pokaż oryginał”. Na górze strony zobaczysz wyniki SPF, DKIM i DMARC oraz domenę, której dotyczą. W Outlooku w przeglądarce nagłówki znajdziesz w opcjach wiadomości, w podglądzie szczegółów lub źródła wiadomości. Najważniejsze pole to wynik DMARC i domena, dla której go uzyskano.

[#uwaga] Wynik pass nie oznacza, że wiadomość jest bezpieczna. Oszust, który zarejestrował własną domenę podobną do prawdziwej, może poprawnie skonfigurować SPF, DKIM i DMARC - i jego maile przejdą weryfikację. Pass potwierdza tylko, że wiadomość naprawdę wysłała domena widoczna w polu „Od”. Dlatego zawsze sprawdzaj, czy to jest dokładnie ta domena, której używa prawdziwa firma.

Diagram zestawia najczęstsze wyniki weryfikacji, które zobaczysz w nagłówkach, z tym, co oznaczają i co należy zrobić.

[#chart:wit40b]

Te same mechanizmy chronią Twoją domenę przed podszywaniem się pod sklep. Jeśli Twoja domena nie ma ustawionego DMARC, oszust może wysyłać maile „od Ciebie” do klientów i dostawców. Jak to sprawdzić i poprawić, opisujemy w poradniku SPF, DKIM i DMARC w sklepie.

Podszywanie się pod Allegro i inne marketplace'y - na co uważać

Podszywanie się pod Allegro i inne platformy ma kilka powtarzalnych form. Najczęściej spotykane schematy to:

• „Weryfikacja konta sprzedawcy” - wiadomość o konieczności potwierdzenia danych pod groźbą zablokowania konta lub wstrzymania wypłat, z linkiem do fałszywej strony logowania.

• „Nowa wiadomość od kupującego” - mail udający powiadomienie z platformy, w którym link prowadzi do strony wyłudzającej login i hasło.

• „Zwrot środków” lub „nieudana płatność” - prośba o podanie danych karty lub zalogowanie się do banku przez link.

• „Zmiana regulaminu” - z załącznikiem, który ma być nowym dokumentem, a jest archiwum lub plikiem HTML.

Prawdziwe ważne informacje dotyczące konta sprzedawcy znajdziesz także po zalogowaniu się do panelu platformy, w powiadomieniach lub centrum wiadomości. To najprostszy test: jeśli w panelu nie ma śladu sprawy opisanej w mailu, mail jest fałszywy. Dobrze też włączyć na wszystkich kontach marketplace'ów logowanie dwuetapowe - nawet jeśli ktoś podda się presji i poda hasło, przejęcie konta będzie trudniejsze.

Nie każdą wiadomość od platformy trzeba weryfikować tak samo dokładnie. Diagram pomaga szybko zdecydować, kiedy można spokojnie obsłużyć powiadomienie, a kiedy trzeba się zatrzymać i sprawdzić sprawę w panelu.

[#chart:wit40c]

Fałszywe maile od kuriera - jak je odróżnić od prawdziwych

Fałszywe maile od kuriera trafiają do sklepów podwójnie: jako odbiorcy przesyłek od dostawców i jako nadawcy, którzy dostają powiadomienia o paczkach klientów. Najczęstszy schemat to wiadomość o „dopłacie do przesyłki”, „błędnym adresie” lub „wstrzymanej paczce” z linkiem do płatności na kilka złotych. Strona płatności udaje bramkę lub bank, a jej celem są dane karty lub logowania do bankowości.

Prawdziwe powiadomienie od przewoźnika zwykle zawiera numer przesyłki, który możesz samodzielnie sprawdzić w aplikacji lub na stronie przewoźnika wpisanej ręcznie. Jeśli numer nie istnieje albo status jest inny niż w mailu, sprawa jest jasna. Uważaj też na wiadomości o paczkach, których nie nadawałeś i nie zamawiałeś - to częsty pretekst do kliknięcia. W zespole warto ustalić, że statusy przesyłek sprawdza się w panelu kuriera lub integratora, a nie przez linki z maili.

Osobną kategorią są fałszywe maile z „etykietą przesyłki” lub „potwierdzeniem nadania” w załączniku. Prawdziwe etykiety generujesz w panelu przewoźnika lub integratora, więc etykieta, która nagle przychodzi mailem od nieznanego nadawcy, jest podejrzana z definicji. Jeśli stanowisko pakowania drukuje etykiety z poczty, ustal, z jakich adresów mogą przychodzić pliki, a resztę przekazuj do sprawdzenia.

Poniższa tabela zestawia cechy prawdziwych i fałszywych wiadomości od kurierów i platform sprzedażowych.

Czego nie robić z podejrzaną wiadomością

Gdy wiadomość wygląda podejrzanie, równie ważne jak jej zweryfikowanie jest uniknięcie kilku odruchów, które ułatwiają oszustom zadanie:

• Nie odpowiadaj nadawcy - odpowiedź potwierdza, że skrzynka jest aktywna i czytana, a oszust może kontynuować rozmowę z bardziej dopracowaną historią.

• Nie przesyłaj dalej do całego zespołu - jedna osoba może kliknąć link „żeby sprawdzić”. Zgłoszenie wysyłaj tylko do osoby od IT lub na ustalony adres.

• Nie testuj linku na służbowym komputerze - nawet otwarcie fałszywej strony „dla ciekawości” niesie ryzyko. Do sprawdzenia domeny wystarczy najechanie kursorem.

• Nie dzwoń na numer z wiadomości - prowadzi do oszusta. Korzystaj z numerów z oficjalnej strony lub umowy.

• Nie usuwaj wiadomości od razu - najpierw zgłoś ją jako phishing, bo nagłówki mogą się przydać przy analizie incydentu.

Gmail i Outlook wyświetlają też własne ostrzeżenia, na przykład o wiadomości od nadawcy spoza organizacji, o podejrzanym linku czy o nadawcy, którego nie da się zweryfikować. Warto nauczyć zespół, żeby traktował je poważnie, a administratorowi poczty - żeby nie wyłączał ich dla wygody.

Jak zorganizować weryfikację nadawców w zespole sklepu

Weryfikacja działa najlepiej, gdy jest procedurą, a nie indywidualną czujnością. Ustal, że podejrzane wiadomości przekazuje się do jednej osoby lub na wspólny adres, a odpowiedź „prawdziwe” albo „oszustwo” pada szybko. Jeśli zespół obsługuje klientów ze wspólnej skrzynki, warto skonfigurować ją tak, żeby każdy widział zgłoszenia i odpowiedzi - jak to zrobić, opisujemy we wpisie wspólna skrzynka obsługi klienta w sklepie. Podejrzane SMS-y można bezpłatnie przekazywać do CERT Polska na numer 8080, a podejrzane strony zgłaszać przez incydent.cert.pl (stan na październik 2026).

Jak Vinson pomaga chronić skrzynki sklepu przed fałszywymi mailami

Vinson to agencja e-commerce z Bochni, która od 2021 r. współpracuje z ponad 500 firmami i obsługuje konta sprzedawców na Allegro i innych platformach. W ramach wsparcia informatycznego dla firm i sklepów konfigurujemy pocztę firmową z SPF, DKIM i DMARC, ustawiamy filtry i ostrzeżenia o wiadomościach spoza firmy, wdrażamy logowanie dwuetapowe na kontach marketplace'ów, kurierów i poczty oraz przygotowujemy krótką instrukcję weryfikacji nadawcy dla zespołu. Gdy ktoś kliknie w podejrzany link, pomagamy szybko zabezpieczyć konta i komputer.

Najczęściej zadawane pytania

Jak sprawdzić, czy mail od kuriera jest prawdziwy?

Sprawdź pełny adres nadawcy i domenę linków, a następnie wpisz numer przesyłki samodzielnie w aplikacji lub na stronie przewoźnika otwartej z zakładki. Jeśli status jest inny niż w mailu albo numer nie istnieje, wiadomość jest fałszywa. Nie płać dopłat przez linki z maili i SMS-ów.

Jak rozpoznać, że ktoś podszywa się pod Allegro?

Podejrzane są maile z presją czasu, groźbą blokady konta lub prośbą o zalogowanie się przez link. Sprawdź domenę nadawcy i linków, a potem zaloguj się do konta samodzielnie - przez aplikację lub wpisany ręcznie adres - i zobacz, czy sprawa jest widoczna w panelu.

Gdzie w Gmailu sprawdzić nagłówki wiadomości?

Otwórz wiadomość, kliknij ikonę trzech kropek obok przycisku odpowiedzi i wybierz „Pokaż oryginał”. Na górze strony Gmail pokazuje wyniki SPF, DKIM i DMARC oraz domeny, których dotyczą, a niżej pełne nagłówki wiadomości.

Czy wynik DMARC pass oznacza, że mail jest bezpieczny?

Nie. Pass oznacza tylko, że wiadomość rzeczywiście pochodzi z domeny widocznej w polu „Od”. Oszust może mieć własną, poprawnie skonfigurowaną domenę podobną do prawdziwej, dlatego zawsze sprawdzaj, czy to dokładnie ta domena, której używa firma.

Co zrobić z fałszywym mailem od marketplace'u?

Nie klikaj linków i nie otwieraj załączników. Oznacz wiadomość jako phishing w skrzynce, zgłoś ją platformie, pod którą podszywa się nadawca, i ostrzeż zespół. Jeśli ktoś już podał dane, od razu zmień hasło i sprawdź ustawienia konta.

Kilka sekund na sprawdzenie nadawcy chroni konto sprzedawcy, pieniądze i dane klientów. Jeśli chcesz, żeby poczta firmowa i konta zespołu były skonfigurowane bezpiecznie, zobacz nasze wsparcie IT dla firm i sklepów. A jeśli Twoje własne maile trafiają do spamu u klientów, przeczytaj, jak znaleźć przyczynę i naprawić dostarczalność krok po kroku.